CVE-2026-82431

Açıklama `SimpleACLAuthorizer`, `nimbus.groups` değerlendirilmeden önce `nimbus.users` boş olduğunda erken dönüş yaparak kullanıcı düzeyindeki komut setini değerlendiriyordu. Bu nedenle, küme erişimini yalnızca grup üzerinden kısıtlayan ve `nimbus.users` kısmını ayarlanmamış bırakan bir operatör, hiçbir kısıtlama ile karşılaşmıyordu: Kimliği doğrulanmış her ana bileşen (principal), `submitTopology`, `beginFileUpload` ve `getNimbusConf` dahil olmak üzere tüm kullanıcı düzeyi işlemleri gerçekleştirebiliyordu. `docs/SECURITY.md`, `nimbus.groups` seçeneğini bir kümeyi kilitlemek için desteklenen bir yöntem olarak sunduğundan, dokümantasyona uygun bir kurulum yapan kişi, sistem kısıtlı olduğu halde aslında olmadığına inanabilirdi. Hata sessizce gerçekleşmektedir; günlüklere veya yapılandırmaya bakıldığında grup listesinin yoksayıldığına dair herhangi bir gösterge bulunmamaktadır. Her iki listenin de boş bırakılması, varsayılan gönderilen ayarda olduğu gibi, hiçbir kısıtlamanın yapılandırılmadığı anlamına gelmeye devam etmektedir ve bu durum değiştirilmemiştir. Çözüm `nimbus.users` ayarlı olsun ya da olmasın `nimbus.groups` ifadesinin değerlendirildiği 3.1.0 sürümüne yükseltin. Hemen yükseltme yapamayan kullanıcılar, etkilenen sürümlerde boş olmayan bir kullanıcı listesinin grup listesinin değerlendirilmesini sağlaması nedeniyle, `nimbus.users` kısmını hedeflenen ana bileşenlerle doldurmalıdır. Operatörler, hedeflenen grupların dışındaki ana bileşenlerin yaptığı işlemler için Nimbus erişim günlüklerini incelemelidir. Yükseltme işleminden sonra, yalnızca `nimbus.groups` ile yapılandırılmış bir kümenin ilk kez kısıtlayıcı hale geleceğini unutmayın. Buna, her bağlantıda `getLeader` fonksiyonunu çağıran `NimbusClient` da dahildir; dolayısıyla yapılandırılan grupların dışındaki istemciler reddedilmeye başlayacaktır. Kredi ASF -- açık kaynaklı projelerin güvenliğini incelemek için Claude ajanlarını kullanarak bulan, Apache Storm tarafından doğrulayan ve raporlayan ekip.